wireshark簡單運用筆記（二）

在網絡中，我們通常不需要捕獲所有的數據包，我們經常只需要捕獲到我們想要的數據包就可以了，如：我們只需要捕獲tcp包或者arp包等。

當我們只需要捕獲tcp包時，在選擇網絡連接（網卡）之後，先不要選擇start，而是選擇option，然後再彈出窗口中的capture filter欄中輸入tcp即可，這樣我們wireshark就只會捕獲tcp類型的數據包了。

你也可以使用wireshark內置的過濾規則來限制捕獲數據包，只需要點擊capture filter，然後再彈出的窗口中，選擇相應的規則即可。我們也可以自己創建新的規則到內置規則中，這樣下次我們還需要進行類似的操作時就不用再手動書寫規則，而直接可以在內置規則中選擇即可。

選擇或書寫好規則後，只需要單擊start按鈕即可對相應的數據包進行捕獲。

捕獲過濾規則採用BPF語法，所以要靈活使用過濾器，則掌握BPF語法是關鍵。使用BPF語法創建的過濾器被稱爲表達式，並且每個表達式包含一個或多個原語，每個原語包含一個或多個限定詞，然後後面再跟着一個ID名字或者數字，如：dst host 192.168.1.1 && tcp port 80。

這個例子的意思是捕獲發往目標主機ip地址爲192.168.1.1的80端口的tcp流量數據包。

dst、host、tcp和port是限定詞，192.168.1.1和80是ID，&&是操作符，&&之前部分是爲一個原語，即：dst host 192.168.1.1，&&之後部分爲另一個原語，即：tcp port 80。

限定詞包括：

限定詞	說明	例子
Type	指出名字或數字所代表的意義	host、net、port
Dir	指明傳輸方向是前往還是來自名字或數字	src、dst
Proto	限定所要匹配的協議	ether、ip、tcp、udp、http、ftp、icmp等

我們還可以對協議域進行捕獲過濾，如表達式icmp[0]==8 || icmp[0]==0表示我們只捕獲echo請求（類型8）和echo回覆（類型0）的icmp數據包。

常用捕獲過濾器：